편의점 회원 해지해야 하나? CU·GS 연이은 사고에… 커지는 보안우려

CU 편의점택배를 운영하는 BGF네트웍스에서 고객 개인정보 유출 사고가 발생하면서 편의점 업계 전반의 보안 관리 부담이 커지고 있다. GS리테일의 GS25·GS샵에 이어 또 다른 편의점 계열 서비스에서 사고가 확인되면서, 택배·앱·멤버십을 결합한 생활형 유통 플랫폼의 개인정보 보호 체계가 다시 도마 위에 올랐다.

BGF네트웍스는 지난 4일 오후 3시30분께 신원 미상의 해커가 CU POST 시스템에 비인가 접근해 개인정보를 유출한 정황을 확인했다고 6일 밝혔다.

유출 항목은 아이디, 단방향 암호화 처리된 비밀번호, 이름, 생년월일, 성별, 주소, 이메일, 휴대전화번호, 연계정보(CI) 등이다. CI는 온라인 본인확인 과정에서 생성되는 고유 식별정보로, 주민등록번호는 아니지만 개인정보보호 측면에서 민감 정보로 분류된다. 유출 대상은 온라인 회원 고객 정보에 한정됐으며, 택배 발송 시 입력한 수하인 등 제3자 정보는 포함되지 않았다고 회사 측은 설명했다.

BGF네트웍스는 사고 인지 직후 공격 IP를 차단하고 개인정보보호위원회와 한국인터넷진흥원(KISA) 등 관계기관에 신고했다. 침해사고 대응팀을 가동하고 보안 정책 재정비에도 착수했다. 정확한 피해 규모는 아직 확인 중이다.

편의점 업계 개인정보 유출 논란은 이번이 처음이 아니다.

GS리테일은 지난해 GS25 홈페이지 해킹으로 고객 9만명의 개인정보가 유출된 데 이어, GS샵에서도 지난해 6월부터 올해 2월까지 약 158만건의 개인정보 유출 정황을 확인한 바 있다. GS샵 유출에는 이름·성별·생년월일·연락처·주소·이메일·기혼 여부·결혼기념일·개인통관고유부호 등 10개 항목이 포함됐다. 해당 사고는 외부에서 확보한 계정 정보를 여러 사이트에 대입하는 '크리덴셜 스터핑' 수법으로 추정됐다.

세븐일레븐과 이마트24에서는 아직 직접적인 유출 사고는 확인되지 않았다. 그러나 두 회사 모두 택배, 픽업, 멤버십, 간편결제, 앱 쿠폰 등으로 서비스가 확장되면서 이름·연락처·주소·결제정보·CI 등 생활 밀착형 개인정보를 광범위하게 처리하고 있다. 편의점이 사실상 생활 데이터 플랫폼으로 진화하면서 보안 관리 부담도 함께 커지는 구조다.

업계에서는 편의점 본사와 택배·앱 운영사가 개인정보 보호를 단순한 전산 업무가 아닌 핵심 경영 리스크로 관리해야 한다는 지적이 나온다. 특히 이름·연락처·주소·아이디가 결합될 경우 스미싱·피싱·계정 탈취 등 2차 피해로 이어질 가능성이 있어, CU와 GS 사례를 계기로 업계 전반의 웹 취약점 점검과 침해사고 대응 절차 재정비가 필요하다는 목소리가 커지고 있다.